Top 10 Malware usados por Hackers

Top 10 Malware usados por Hackers. Infostealers e RATs continuam no centro das campanhas de malware em 2026

O cenário de ameaças observado nas últimas semanas reforça uma tendência importante para as equipes de Segurança da Informação: os cibercriminosos não precisam necessariamente desenvolver malwares completamente novos para aumentar a efetividade de seus ataques.

Famílias já conhecidas de infostealers, Remote Access Trojans (RATs), keyloggers e loaders continuam sendo utilizadas e adaptadas em campanhas de phishing, roubo de credenciais, espionagem e comprometimento de ambientes corporativos.

Dados publicados pelo Cyber Security News, com base na telemetria do sandbox da ANY.RUN, mostraram Vidar, AsyncRAT, Remcos, XWorm, StealC, AgentTesla, DonutLoader, Lumma, Snake Keylogger e Quasar entre as famílias mais submetidas para análise na semana encerrada em 20 de julho de 2026.

Mais importante do que o ranking individual é o padrão observado: RATs e infostealers dominam grande parte da atividade analisada, demonstrando o valor que credenciais, sessões autenticadas e acesso remoto continuam tendo para os atacantes.

Vidar e AsyncRAT lideraram o levantamento

No levantamento referente à semana encerrada em 20 de julho, o Vidar apareceu em primeiro lugar, com 282 amostras submetidas, seguido pelo AsyncRAT, com 275.

Na sequência apareceram:

Fonte: Cyber Security News, com dados da ANY.RUN.

Os números devem ser interpretados com cautela: representam amostras submetidas ao ambiente de análise e não equivalem diretamente ao número global de organizações infectadas. Ainda assim, funcionam como indicador relevante da atividade observada pelos profissionais que analisam ameaças.

O cenário continua mudando

Na semana seguinte, de 20 a 26 de julho, Vidar permaneceu na liderança, com 235 amostras, enquanto AsyncRAT registrou 214 e XWorm chegou a 205.

Outro dado interessante foi o crescimento do FormBook, que passou a figurar entre as dez principais famílias analisadas.

A composição do ranking mudou novamente posteriormente. Em levantamento publicado em 10 de agosto, o AsyncRAT passou à primeira posição, com 211 amostras, seguido por Remcos, com 196, e XWorm, com 183.

Essa movimentação reforça uma característica importante do atual ecossistema de ameaças: as famílias podem alternar rapidamente sua prevalência enquanto as categorias de malware utilizadas permanecem relativamente constantes.

Por que os RATs continuam tão relevantes?

Remote Access Trojans permitem que o atacante estabeleça controle remoto sobre um sistema comprometido.

Dependendo da família e de sua configuração, essas ferramentas podem permitir:

• execução remota de comandos;
• download e execução de payloads adicionais;
• captura de teclas;
• captura de tela;
• coleta de arquivos;
• execução de comandos PowerShell;
• persistência;
• comunicação com infraestrutura de Command and Control (C2);
• reconhecimento do ambiente comprometido.

Essa flexibilidade ajuda a explicar a presença recorrente de AsyncRAT, Remcos, XWorm e Quasar nos levantamentos.

O acesso inicial, portanto, pode representar apenas o começo do incidente. Uma estação comprometida por um RAT pode se transformar em ponto de apoio para reconhecimento, coleta de credenciais, movimentação lateral e implantação de outras cargas maliciosas.

Campanha real mostra AsyncRAT utilizando engenharia social baseada em IA

A presença do AsyncRAT nos rankings encontra respaldo em pesquisas independentes.

Em junho de 2026, o FortiGuard Labs documentou uma campanha na qual atacantes utilizaram documentos falsos relacionados a Inteligência Artificial como isca para distribuir AsyncRAT.

Os documentos apresentavam temas aparentemente legítimos relacionados à adoção empresarial de IA.

A cadeia de ataque utilizava múltiplos scripts e loaders para ocultar sua atividade antes de executar o RAT em memória.

O caso demonstra outro aspecto relevante: os atacantes acompanham tendências de mercado para tornar suas campanhas de engenharia social mais convincentes.

IA, ferramentas de produtividade, documentos empresariais e serviços populares podem se transformar em mecanismos de atração da vítima.

Arquivos .TTF usados para esconder loaders

Outra pesquisa do FortiGuard Labs, publicada em julho, demonstra como as técnicas de entrega estão se tornando mais sofisticadas.

Pesquisadores identificaram uma campanha global utilizando phishing e loaders baseados em Lua, com componentes maliciosos disfarçados como arquivos de fonte TrueType Font (.TTF).

A cadeia utilizava múltiplas camadas de ofuscação e técnicas fileless para reduzir a capacidade de detecção.

Entre os malwares distribuídos estavam justamente:

Agent Tesla, Remcos e XWorm.

Ou seja, três famílias que aparecem no ranking semanal também foram identificadas em uma campanha real utilizando técnicas avançadas de evasão.

Isso demonstra por que simplesmente procurar pelo executável final do malware pode não ser suficiente.

A detecção precisa considerar toda a cadeia:

Phishing → Script → Loader → Evasão → Execução → C2 → Payload adicional

Infostealers transformaram credenciais em uma mercadoria

Outro ponto crítico é a presença recorrente dos infostealers.

Vidar, StealC, Lumma e FormBook pertencem a um ecossistema no qual informações roubadas podem posteriormente alimentar outras operações criminosas.

Entre os dados normalmente procurados por esse tipo de malware estão:

• credenciais armazenadas em navegadores;
• cookies;
• tokens e sessões autenticadas;
• dados de preenchimento automático;
• informações sobre carteiras de criptomoedas;
• arquivos e informações do sistema;
• credenciais utilizadas para acesso a serviços corporativos.

Isso muda significativamente a análise de risco.

Uma infecção aparentemente limitada a uma estação de trabalho pode gerar credenciais que posteriormente serão utilizadas para acesso a VPN, aplicações SaaS, e-mail corporativo, infraestrutura em nuvem ou outros sistemas internos.

Em outras palavras:

malware → roubo de credenciais → venda/reutilização das credenciais → acesso inicial → comprometimento adicional

Roubo de credenciais já aparece em grande escala

Dados recentes da Kaspersky reforçam a dimensão do problema.

Segundo informações divulgadas em agosto de 2026 sobre a região Ásia-Pacífico, seus sistemas bloquearam aproximadamente 3,4 milhões de ataques envolvendo backdoors e 2,4 milhões relacionados a password stealers no primeiro semestre de 2026.

Embora sejam dados regionais e produzidos a partir da própria telemetria do fornecedor, eles reforçam que roubo de credenciais e obtenção de acesso remoto permanecem componentes relevantes do cenário de ameaças.

Brasil: campanhas mostram evolução das técnicas

O cenário também merece atenção específica das organizações brasileiras.

Uma campanha identificada em 2026 utilizou páginas falsas relacionadas ao setor bancário brasileiro para induzir usuários a executar comandos PowerShell maliciosos.

O objetivo era instalar o SmartRAT, capaz de registrar teclas, capturar telas e executar outras ações no dispositivo comprometido.

Outro caso ainda mais preocupante envolveu o comprometimento de mais de 20 sites governamentais brasileiros para distribuição de malware.

A campanha, denominada PhantomEnigma, utilizou infraestrutura legítima .gov.br comprometida como parte da cadeia de distribuição.

O uso de contas e infraestrutura legítimas aumenta significativamente a dificuldade de identificar ataques exclusivamente por reputação de domínio ou autenticação de e-mail.

O problema não é apenas qual malware está em primeiro lugar

Para organizações e equipes de SOC, talvez a principal conclusão dos rankings semanais seja justamente não concentrar a defesa em famílias específicas.

AsyncRAT pode liderar uma semana.

Vidar pode liderar outra.

XWorm ou FormBook podem apresentar crescimento posteriormente.

Mas as técnicas fundamentais permanecem semelhantes.

O objetivo do atacante continua sendo obter:

Acesso → Credenciais → Persistência → Controle → Dados → Monetização

Portanto, uma estratégia de defesa baseada exclusivamente em indicadores de comprometimento (IoCs) associados a famílias específicas tende a possuir vida útil limitada.

É necessário complementar essa abordagem com detecção comportamental e análise de Táticas, Técnicas e Procedimentos (TTPs).

O que as organizações devem fazer

A redução do risco exige controles distribuídos ao longo de toda a cadeia de ataque.

Entre as principais medidas estão:

1. MFA resistente a phishing

A autenticação multifator reduz o impacto de credenciais comprometidas, embora organizações devam considerar métodos resistentes a phishing para sistemas críticos.

2. Endpoint Detection and Response (EDR)

O monitoramento comportamental dos endpoints é particularmente importante contra RATs, loaders, execução de scripts e técnicas fileless.

3. Monitoramento de PowerShell e interpretadores de scripts

PowerShell, JavaScript, VBScript, AutoHotkey e outras ferramentas legítimas podem fazer parte de cadeias de ataque.

4. Proteção de e-mail e navegação

Como phishing continua sendo um vetor recorrente, controles de e-mail, análise de URLs, sandboxing e proteção de navegação permanecem relevantes.

5. Gestão de privilégios

Contas administrativas devem possuir privilégios mínimos, segregação adequada e controles adicionais de autenticação e monitoramento.

6. Gestão de credenciais e sessões

O roubo de cookies e tokens demonstra que proteger apenas senhas não é suficiente. Sessões autenticadas também precisam ser consideradas na arquitetura de segurança.

7. Segmentação de rede

Uma estação comprometida não deve permitir acesso irrestrito ao restante da infraestrutura.

8. SIEM, XDR e Threat Intelligence

A correlação entre eventos de endpoint, identidade, rede, e-mail e aplicações aumenta a capacidade de identificar cadeias de ataque antes que alcancem seus objetivos.

Uma mudança importante para a estratégia de segurança

O cenário observado também está alinhado com uma tendência mais ampla prevista pelo Fortinet para 2026: a industrialização do cibercrime.

Segundo o relatório Cyberthreat Predictions for 2026, os adversários tendem a priorizar não apenas novas técnicas, mas principalmente automação, especialização e velocidade, reduzindo o intervalo entre reconhecimento, comprometimento e monetização.

Isso ajuda a explicar por que ferramentas conhecidas continuam relevantes.

Para o atacante, muitas vezes é economicamente mais eficiente combinar:

malware existente + infraestrutura criminosa + automação + engenharia social + técnicas de evasão

do que desenvolver uma ferramenta completamente nova.

Conclusão

Os levantamentos recentes mostram que infostealers e RATs permanecem componentes centrais do ecossistema de malware em 2026.

Vidar, AsyncRAT, Remcos, XWorm, StealC, Lumma, AgentTesla e outras famílias podem mudar de posição nos rankings, mas representam um problema estrutural maior: a existência de um mercado altamente desenvolvido para roubo de informações, acesso remoto e distribuição de malware.

Para CISOs, gestores e equipes de SOC, a pergunta mais importante não deveria ser apenas: “Qual malware está atacando agora?”

Mas também: “Quais comportamentos e técnicas permitiriam que qualquer malware dessa categoria avançasse dentro do nosso ambiente?”

Essa mudança de perspectiva leva a uma estratégia de defesa mais resiliente: menos dependente do nome da ameaça e mais orientada à identidade, comportamento, telemetria, TTPs, detecção e resposta.

Referências

Cyber Security News — Top 10 Malware Used by Hackers Last Week to Launch Cyberattacks
Matéria original de 21 de julho de 2026, baseada em telemetria da ANY.RUN.

Cyber Security News — Top 10 Malware Used by Hackers Between July 20–26, 2026
Atualização do ranking mostrando Vidar, AsyncRAT e XWorm entre as famílias mais analisadas.

Cyber Security News — Top 10 Malware Threats of the Week – AsyncRAT, Remcos, and XWorm Lead the Surge
Atualização publicada em 10 de agosto de 2026.

FortiGuard Labs — The TTF Trap: A Global Campaign of a Low-Detection Lua Loader
Pesquisa publicada em 16 de julho de 2026 sobre campanha utilizando phishing, ofuscação e loaders Lua para distribuir Agent Tesla, Remcos, XWorm e outros malwares.

FortiGuard Labs — Threat Actors Weaponize AI Hype to Deliver AsyncRAT
Pesquisa publicada em 11 de junho de 2026 descrevendo campanha utilizando documentos relacionados a IA como isca para instalação do AsyncRAT.

Fortinet — Cyberthreat Predictions for 2026
Relatório sobre industrialização do cibercrime, automação e aceleração do ciclo de ataque.

Cyber Security News — Hackers Abuse PowerShell Commands to Deliver SmartRAT Through Brazilian Bank Phishing Page
Campanha direcionada ao Brasil utilizando engenharia social e PowerShell.

Cyber Security News — Hackers Hijack 20+ Government Websites to Deliver Malware Through Trusted Links
Análise da campanha PhantomEnigma envolvendo infraestrutura governamental brasileira comprometida.

Clique e fale com representante oficial Netwrix Endpoint Protector

Veja também:

• O resgate não é o custo do ransomware
• Microsoft Defender pode ser transformado em arma contra EDR e antivírus
• Shadow AI: 47% do uso corporativo de IA ocorre em contas pessoais
• Cibersegurança: 95% das equipes enfrentam lacunas de habilidades
• Credenciais móveis avançam como pilar da segurança bancária
• Ransomware mira backups em 96% dos ataques
• Criminosos criam marketplace de dados pessoais para aplicar golpes na internet
• Violações de dados mais que dobram com avanço dos agentes de IA
• CertiK Intel3D – A Era das PSAVs e o Novo Padrão de Segurança do Brasil
• América Latina é a segunda região mais exposta a ciberameaças industriais
• IA amplia desafio de segurança e governança nas redes corporativas
• Falsas promessas de emprego na Meta, Disney, Coca-Cola e Spotify